L2TP und Tunneldigger

Seit der Firmware 20161008-beta ist der Tunneldigger für l2tp Tunnel zum Gateway mit dabei. Hier die Anleitung, wie man den Tunnelbroker auf einem Gateway installiert und konfiguriert.

Vorteile: *Weniger CPU Last auf den Gateway Servern und den Routern

Am Router

Eine Firmware ab 20161008-beta oder neuer flashen.

Es wird die Datei vpn.txt auf dem GW geprüft, wenn mit Inhalt l2tp vorhanden, dann l2tp sonst fastd.

Am Router muss nichts konfiguriert werden!

Am Gateway (KeyXchangev2!!)

Für alte Hoods nur mit älterem Kernel!

So, jetzt brauchen wir noch Gateways mit dem Broker. Nebenbei braucht der Gateway auch noch ein Webserver, die Clients fragen ob ein Gateway l2tp anbietet oder nicht.

Vorbereitungen:

Nötige Pakete holen:

apt-get install iproute bridge-utils libnetfilter-conntrack-dev libnfnetlink-dev libffi-dev python-dev libevent-dev ebtables python-virtualenv
apache2

Module

In /etc/modules die Module eintragen:

l2tp_core
l2tp_eth
l2tp_netlink

Mit modprobe "name des Moduls" kann man dann alle Module laden. Beim nächsten reboot geht das dann automatisch.

modprobe l2tp_core
modprobe l2tp_eth
modprobe l2tp_netlink

Installation:

mkdir /srv/tunneldigger
cd /srv/tunneldigger 
virtualenv env_tunneldigger 
git clone https://github.com/wlanslovenija/tunneldigger.git 

Für alte Hoods einige Commits zurück

cd tunneldigger
git checkout eee2770174ff
cd ..

sonst hier weiter

Problem hohe CPU Last durch mtu-discovery

Die mtu-discovery verursacht bei mehreren Tunnel hohe CPU Last. Ihr habt folgende Möglichkeiten:

• Das Gateway hat genug Power und es stört nicht. -> nichts machen.
• Den Timer erhöhen, so dass seltener geprobed wird ->

in /srv/tunneldigger/tunneldigger/broker/src/tunneldigger_broker/tunnel.py ca. Zeile 220 hinten den Timer erhöhen
self.create_timer(self.pmtu_discovery, timeout=random.randrange(500, 700))

• Diese Rekursion ganz aus schalten, dann wird nur noch einmal beim Tunnelaufbau geprobed ->

in /srv/tunneldigger/tunneldigger/broker/src/tunneldigger_broker/tunnel.py ca. Zeile 220 diese Zeile auskommentieren.
#  self.create_timer(self.pmtu_discovery, timeout=random.randrange(500, 700))

• In der entstehenden Konfigurationsdatei gibt es die Möglichkeit das ganz aus zu schalten. -> Nicht empfohlen!

Die folgenden Zeilen müsst ihr auch wiederholen, wenn ihr später obige Änderungen macht!

source env_tunneldigger/bin/activate 
cd  /srv/tunneldigger/tunneldigger/broker 
python setup.py install

Konfiguration:

Um die Konfiguration zu erleichtern gibt es ein Skript:

http://fff-sw.freifunk-schweinfurt.de/mk-fff-broker-conf.sh

Öffnen, Daten eintragen, laufen lassen, fertig.

Anmerkung: Der hoodname darf maximal 8 Zeichen lang sein!!

Das kann man jetzt mehrfach machen mit unterschiedlichen Konfigurationen für verschiedene Hoods.

Den Routern mitteilen, dass wir l2tp anbieten

Erst aktivieren, wenn für alle Hoods des Gateways die Konfiguration gemacht wurde!!

Im DocumentRoot des Webservers die Datei vpn.txt mit Inhalt l2tp anlegen

echo l2tp > vpn.txt

Danach verbinden sich die Router mit obiger Firmware via l2tp.

Kontrolle

- über systemctl status tunneldigger-broker-xxx.service kann man den Status erfragen.

- mit ip link sieht man für jeden Router ein l2tpXXXX Device mit der entsprechenden Bridge als master.

- mit ip l2tp show tunnel sieht man die einzelnen Tunnel

- mit ip l2tp show session die entsprechenden Devices

- der Broker sollte auch die entsprechenden SNAT und DNAT Einträge gemacht haben: iptables -L -t nat

- das Log mit journalctl -u tunneldigger-broker-HOOD.service

Spezialfall alte Hood - neuer Kernel

Bei neueren Kernels ist der Bug, dass nicht auf unique Tunnel ID geprüft wird, beseitigt. Die alten tunneldigger in den "alten" Hoods funktionieren aber nicht ohne diesen Bug auf dem Gateway. Man hat nun die Möglichkeit den Bug wieder einzubauen.

So in etwa sollte das funktionieren: http://fff-sw.freifunk-schweinfurt.de/l2tp-uniq-id-bug

Konfiguration von Hand

• Dokumentation: http://tunneldigger.readthedocs.io/en/latest/index.html
• Besonderheiten für Freifunk Franken
  • Der Port ergibt sich aus fastd-port + 10000
  • Wir passen die HookSkripte an (Beispiel Hood swv2)

session.up=/srv/tunneldigger/tunneldigger/broker/scripts/swv2.up

#!/bin/bash
TUNNEL_ID="$1"
INTERFACE="$3"
MTU="$4"
BATDEV=bat0
. /srv/tunneldigger/tunneldigger/broker/scripts/swv2-bridge_functions 

# Set the interface to UP state
ip link set dev $INTERFACE up mtu $MTU

# Add the interface to our bridge
ensure_bridge br-swv2${MTU}
brctl addif br-swv2${MTU} $INTERFACE

session.pre-down=/srv/tunneldigger/tunneldigger/broker/scripts/swv2.down

#!/bin/bash
TUNNEL_ID="$1"
INTERFACE="$3"
MTU="$4"
ROUTER="$8"

# Remove the interface from our bridge
brctl delif br-swv2${MTU} $INTERFACE

session.mtu-changed=/srv/tunneldigger/tunneldigger/broker/scripts/swv2-mtu_changed.sh

#!/bin/bash
TUNNEL_ID="$1"
INTERFACE="$3"
OLD_MTU="$4"
NEW_MTU="$5"
BATDEV=bat0
MTU="$NEW_MTU"

. /srv/tunneldigger/tunneldigger/broker/scripts/swv2-bridge_functions

# Remove interface from old bridge
brctl delif br-swv2${OLD_MTU} $INTERFACE

# Change interface MTU
ip link set dev $INTERFACE mtu $NEW_MTU

# Add interface to new bridge
ensure_bridge br-swv2${NEW_MTU}
brctl addif br-swv2${NEW_MTU} $INTERFACE

/srv/tunneldigger/tunneldigger/broker/scripts/swv2-bridge_functions

ensure_policy()
{
  ip rule del $*
  ip rule add $*
}

ensure_bridge()
{
#MAC aus MTU generieren (auf jedem GW eine Stelle ändern)
  mac=$(echo $MTU |  sed -E "s/^(..)/0a:66:01:01:\1:/")
  local brname="$1"
  brctl addbr $brname 2>/dev/null 

  if [ "$?" = "0" ]; then
    # Bridge did not exist before, we have to initialize it
    ip link set dev $brname address $mac 
    ip link set dev $brname up
    # Neue Bridge batman hinzufügen
    batctl -m $BATDEV if add $brname
    # Disable forwarding between bridge ports
    ebtables -A FORWARD --logical-in $brname -j DROP
  fi
}

Broker für eine Hood wieder los werden

Beispielhood: hawaii

Service stoppen: (Tipp: Tab-Taste)

systemctl stop tunneldigger-broker-hawaii.service 

Service ausschalten:

systemctl disable tunneldigger-broker-hawaii.service 

Wenn man die ganze Konfiguration weg haben will, geht es weiter.

Unit löschen:

rm /etc/systemd/system/tunneldigger-broker-hawaii.service

systemd davon in Kenntnis setzen:

systemctl daemon-reload

Konfigdateien löschen:

find /srv/tunneldigger/tunneldigger -name '*hawaii.*' -exec rm \{\} \;